这是一个创建于 1867 天前的主题，其中的信息可能已经有所发展或是发生改变。
网站有一个功能是验证邮箱是否存在，每次只能查一个。
上个月邮件通知服务器 CPU 超过 100%，然后排查发现有人利用这个邮箱验证服务查了 100 多万个前缀是手机号的 163 邮箱。像这样类型的 1388039****@163，1868723****@163.com 。
3 天时间，查了一百多万，也不知道这大兄弟咋查的。
然后我把这个服务关了。。。
上个月邮件通知服务器 CPU 超过 100%，然后排查发现有人利用这个邮箱验证服务查了 100 多万个前缀是手机号的 163 邮箱。像这样类型的 1388039****@163，1868723****@163.com 。
3 天时间，查了一百多万，也不知道这大兄弟咋查的。
然后我把这个服务关了。。。
 |
1
byicer 2019-09-29 20:32:04 +08:00 via iPhone  1
黑产利用你网站验证账号？
|
 |
2
uyhyygyug1234 2019-09-29 20:32:50 +08:00 1
1000000 ÷ 3 ÷ 24 ÷ 3600 = 3.85 还好还好。
|
 |
3
dji38838c 2019-09-29 20:47:41 +08:00 1
加个验证码就好了，用不着关了，还有别的正常用户要用嘛
|
 |
4
yun OP |
|
6
uyhyygyug1234 2019-09-29 21:53:22 +08:00 1
@yun 你关了不解气啊，应该要搞些误报，让他也不知道到底有没有，白白浪费时间才好。
|
 |
7
qiayue 2019-09-29 21:54:45 +08:00 1
你赚了 100 多万个手机号码了
|
 |
10
opengps 2019-09-29 23:15:41 +08:00 via Android 1
这是一种穷举撞库识别无效号码的办法
|
|
11
yun OP |
 |
12
locoz 2019-09-29 23:17:58 +08:00 1
多半是黑产在撞库
|
 |
13
Fx8m 2019-09-30 08:38:40 +08:00 1
非常好奇是怎样 验证邮箱是否存在 的。
大佬能不能分享下原理。 |
|
16
locoz 2019-09-30 11:54:19 +08:00 via Android
@Fx8m #15 我只是举一个例子，具体的操作方式太多了，利用注册邮箱时的检测接口来判断是否存在只是其中之一。
|
|
17
yun OP @Fx8m 发送邮箱之前，邮件服务器和目的地服务器会有个握手，然后返回握手信息后再发送，验证就是利用前半部分而不发送邮件来验证邮箱是否存在。
|
|
19
Fx8m 2019-10-11 11:10:17 +08:00 1
|
 |
20
QUIOA 2019-10-25 21:07:59 +08:00 via Android 1
他想通过你这个网站反查绑定邮箱，收集搞成社工库
|
Select Language